CVE-2019-6524

Brak blokady prób logowania w przełącznikach Moxa IKS i EDS — brute force

CVSS 9.8v3.1pub. 2019-03-05upd. 2024-11-21

Przełączniki przemysłowe Moxa z serii IKS i EDS nie implementują mechanizmów ograniczających liczbę nieudanych prób uwierzytelnienia, co umożliwia atakującemu przeprowadzenie ataku brute force w celu odgadnięcia haseł. Podatność jest krytyczna ze względu na możliwość uzyskania pełnego dostępu do urządzeń sieciowych infrastruktury OT bez żadnych wstępnych uprawnień.

▸ Pokaż oryginał (EN)

Moxa IKS and EDS do not implement sufficient measures to prevent multiple failed authentication attempts, which may allow an attacker to discover passwords via brute force attack.

🤖 Analiza AI

Jak działa

Urządzenia nie blokują ani nie spowalniają kolejnych prób logowania po określonej liczbie nieudanych uwierzytelnień (brak mechanizmu account lockout lub rate limiting). Atakujący z dostępem sieciowym może automatycznie wysyłać nieograniczoną liczbę prób logowania z różnymi kombinacjami haseł. Brak jakiejkolwiek ochrony przed tego rodzaju atakiem (CWE-307 — Improper Restriction of Excessive Authentication Attempts) pozwala na efektywne przeprowadzenie ataku słownikowego lub pełnego brute force.

Skutki

Atakujący może odgadnąć hasło do urządzenia i uzyskać pełny dostęp do jego konfiguracji oraz zarządzania, co zagraża poufności, integralności i dostępności całej sieci przemysłowej obsługiwanej przez dany przełącznik.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (ICSA-19-057-01). Dodatkowo zaleca się segmentację sieci OT, ograniczenie dostępu do interfejsów zarządzania urządzeń wyłącznie do zaufanych hostów oraz stosowanie silnych, unikalnych haseł jako środek zmniejszający ryzyko skuteczności ataku brute force.

Kogo dotyczy

Moxa IKS-G6824A (firmware), Moxa EDS-405A (firmware), Moxa EDS-408A (firmware) oraz powiązane modele z serii IKS i EDS — dokładne wersje firmware wskazane w referencjach producenta (ICSA-19-057-01)

Uwagi

Podatność dotyczy infrastruktury przemysłowej (ICS/OT). Szczegółowe informacje opublikowane przez ICS-CERT w komunikacie ICSA-19-057-01 w dniu 2019-03-05.